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Die folgenden Angaben sind den vom Anmelder eingeretchten Unteriagen entnommen 

® Verfahren und Vorrichtung zum Betreiben eines Stellelements in einem Fahrzeug 

@ Es warden ein Verfahren und eine Vorrichtung zurn Be- 
treiben eines Stellelements in einem Fahrzeug vorge- 
schlagen. Dabei wird ein erstes und/oder ein zweites Be- 
triebsgro&ensignal ermittelt und auf Fehler uberpruft. Bei 
Aufrreten eines Fehlers wird soforr eine erste ReakTion, 
die beispielsweise eine Begrenzung der Stellgeschwin- 
digkeit und/oder der Beschleunigung des Stellelements 
darstellt, eingeleitet. Bei langer anhaltendem Auftreten 
des Fehlerzustandes wird eine zweito Reaktion eingelei- 
tet, welche ein Ersatzsignal anstelle des fehlerhaften zur 
Steuerung heranzieht oder die in einem Abschalten des 
Stellelementebetriebes besteht. 



EINLESEN 
MESS6R0SSE (N) 



plau&bhjtats- 
OberprOfung 



'102 



-104 




UNPLAUSl* 
BIUTAT? 



ERSTE REAKTION 



T 



-106 



ZAHLER INKR. 







o 

0> 
M 

| 

a 



r< 



ZAHLER MAX? 



108 



110 







ZAHLER DEKR. 







^ ZAHLER MIN? ^- 



114 



116 



I 



ZWEJTE 
REAKTION 

I 

t 



-112 



NORMALBETRIEB 



116 



QndT) 



BUNDESDRUCKEREI 01.01 102 011/1002/1 



15 



» 



DE 199 43 

1 

4 

Beschreibung 
Stand cler Technik 

Die Erfindung bctrilTi ein Verfahren und cine Vorrichtung 5 
zum Betreiben eines Siellelements in einem Fahrzeug. 

In Fahrzcugcn werden vcrmchrt clcktronischc Steucrsy- 
steme eingesel/l. welche auf der Basis von meGlechnisch er- 
faBter BelriebsgroBen oder aus MeBgroBen abgeleiieter Be- 
triebsgroBen wenigsiens ein Siellelemeni eincs Fahrzeugs It) 
betreiben. Derarrige Sieuersysieme werden zur Steuerung 
der Anlriebscinhvil, der Bremsanlage oder anderer Funktio- 
nen eingcseizi. Beispielsweise wird im Rahmen von soge- 
nannten "drive-by wire"- oder "brakc-by-wire"-Sysiemen 
ein Stellelemeni des Fahr/.eugs aufder Basis des mctilcch- 15 
nisch crfaBten Fahrerwunsches durch ein elcktronisches 
Steucrsystcm betatigi. Gcmeinsam isr diesen .Sicuersyste- 
men, dab die Erfassung einerdie Grundfunktion beeinQus- 
senden BctriebsgroBe zumindest redundant abgesichert ist. 
So winl bei diesen Sysiemen in der Kegel die Siellung des 20 
vom Fahrer beliiligbaren Bedieneiements (Fahrpedal, 
Bremspedal) durch wenigsiens zwei voneinander unabhan- 
gige MeBeinrichtungcn erfaBt. Entsprechendes gilt bei Sy- 
stemen, bei wetcheru das Siellelemeni im Rahmen eincs Rc- 
gelkreises (z. B. einer Lageregelung) nach MaBgabe eines 25 
aus dem Fahrerwunsches abgcleitetcn Sollwcrts cingcstelh 
wird ? fur die Istwerterfassung. Die zumindest redundante 
Erfassung der jewciligcn BctricbsgroBcn dicnt zur Fchlerer- 
kennung, beispielsweise indem die wenigsiens zwei crfaB- 
ten MeBgroBen oder daraus abgeleitelen GroBen gegenein- 30 
ander auf einen vorgegebenen Toleranzbereich uberpruft 
werden. Eine derartige Vorgehensweise ist am Beispiel ei- 
nes drive-bv-wire-Svsiems in der DE 40 ()4 086 A 1 (US- 
Patent 5,107,769) dargestellt. 

Bei derartigen UberprOt'ungen wird ein tatsaehlichcr Fell- 35 
lerzusiand mil anschlieBendem Notlauf mil Blick auf Siorsi- 
gnale erst dann erkannt, wenn die Uberprufung eine be- 
stinmuc Zcii lang das Ergebnis "Unplausibilitat" ergeben 
hat. Die Notlauffunkiion wird also relativ spat eingeleitei. 
Auf diesc Wcisc konncn Schadcn im Stellclcmcnt, welches 
irolz eincs Fehlcr/usiandes wic im Normalhctrieb hetatigt 
wird, auftreten. Dies ist vor aliem bei der Steuerung einer 
Drosselklappe miltels eines Stellniotors der Fall, bei der bei- 
spielsweise bei Abfall der Signalleitung einer die Stellung 
dieser Drosselklappe ertassenden MeBcinrichtung ein dyna- 45 
misches Anfahren des mechanischen Endanschlags mil me- 
chanischen Schadigungen als Folge auftreten kann. 

Hs ist. Aufgabe der Erlindung, Matinahmen anzugeben, 
welche die Reaktionszeit auf eine Unplausibilitat verkiirzen, 
ohnc daB die Verfiigbarkcii des Steuersystems fur den Fall, 50 
daB kein Fehlerzusiand vorliegt. wesenilich beeinirachtigi 
wird. 

Dies wird durch die Merkmale der unabhangigen Patcnt- 
anspruche erreicht. 

Aus der DE 39 22 948 A 1 (US-Patent 5 J 19,300) isr be- 55 
kannt, bei Sensoren, welche sowohl in eincm Beiricbszu- 
siand eines Fahrzeugs als auch im Fchlerfall ein Grundsi- 
gnal ausgeben (beispielsweise Null), bei Auftreten des 
Grundsignals zunachst cine Ersatznotlauffunkiion einzulei- 
ten, danaeh eine Fehleriiberprufung durchzufuhren. Die fur 60 
den Fchlerfall vorgeschene N'otlauffunktion wird erst einge- 
leitet. wenn der Fch lerzusiand fcstgcsiclll wurdc. 

Vorteilc der Erfindung 

65 

lis wird eine schnelle Reaktion (erster Fehlerreaklionsbe- 
trieb) sofon bei Auftreten einer Unplausibilitat im Bereich 
der BetricbsgroBcnerfassung erreicht, indem eine erste Re- 
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aktion auf eine Unplausibilitat zwischen zwei in einem ein- 
deutigen Zusammenhang zueinander stehenden Betriebs- 
groBensignalen sofort nach Auftreten der ersten Unplausibi- 
litat eingeleitet wird. Dabci wird cine wcscntlichc Ein- 
schriinkung der Verfiigbarkcii des Steuersystems vermicden, 
da durch die crsle Reaktion schadigende Auswirkungen der 
Unplausibilitat weitgehend vermicden werden, ohnc daB die 
VerFugbarkeii wesenilich eingesehninkt wird. Durch eine 
zweite Reaktion (zweiter Fehlerreaktionsbetrieb), die einen 
Nollaufbctrieb des Steuersystems darstelli, wird bei gesi- 
chener Unplausibilitat nach Ablauf einer gewissen Zeit, das 
System in einen sicheren Zustand getuhn. 

Besonders vorteilhaft ist die Anwendung dieser Vorge- 
hensweise bei sogenannten drive- by- wire- Systemen, bei de- 
nen ein Leistungssielle lenient in Abhangigkeit des Fahrer- 
wunsches miltels eines Rcgelkrcises cingestcllt wird. Don 
wird durch Plausihilitatsvergleichc der redundant erfaBten 
IstgroBe und/oder der redundanten erfaBten SoilgroBe Fehl- 
funktionen erkannt und entsprechend obigcr Vorgehens- 
weise reagiert . Die erste Reaktion verhindert /.. B. durch Be- 
grenzung der Verstellgeschwindigkeit des Slellelements 
mi tie Is Begrenzung des Stromes und/oder des Ansteuersi- 
gnals filr das Siellelemeni, daB das Stellelement nicht mehr 
dynamisch an seine mechanischen Endanschlage gefaliren 
wird. Mechanische Schadigungen werden vermieden. Die 
/.wcitc Reaktion auf die Unplausibilitat ist dann cine Not- 
lauf reaktion. durch die die Steuerung still gelegt oder auf der 
Basis von ErsatzgroBcn wcitcr betricben wird, 

Bcsondcrs vorteilhaft ist die Anwendung bei einer Lagc- 
regelung, bei welchem Sollwert und Isiwert die Stellung ei- 
nes Leistungsstcllelemcnts reprascntieren. Dies auch dann, 
wenn Istwert und/oder Sollwert nicht redundant erfaBl, son- 
dern miltels einer BetriebsgrbBe iiberprufl werden, die in 
cindeutigem Zusammenhang zur Stellung steht (z, B. Luft- 
massc). Die beiden unterschicdlichcn GroBen werden auf 
eine gemeinsame Basis umgerechnet und auf dieser Basis 
die Plausibilitatsuberprufung durchgefiihrl. 

Ebcnso vorteilhaft ist die Anwendung der dargcstclltcn 
Vorgehensweise bei brake-by- wire- Systemen. Auch dort er- 
tblgt zumindest die Erfassung des Fahrcrbrcmswunschcs 
niiucls wenigsiens rcdundantcr Ermi liking des Beiiiligungs- 
grades des Brcmspedals. Auch hier wird zur Fehlercrken- 
nung ein Plausibiltatsverglcich der Signalc durchgefiihrt. In 
vorreilhafter Weise wird auch hier sofort nach Erkennen der 
ersten Unplausibilitat eine erste Reaktion, beispielsweise 
cine Bremsensleucrung auf der Basis des Maxiraalwertes 
vorgenommen, wilhrend nach Sicherstcllung der Fehlerer- 
kennung als zweite Reaktion eine NotlaufmaBnahme (x. B. 
Geschwindigkeitsbegrenzung) eingeleitet. 

Wciterc Vortcile ergeben sich aus der nachfolgenden Bc- 
schreibum! von AusfUhrungsbeispielen bzw. aus den abhan- 
gigen Patcntanspriichen. 

Zeichnung 

Die Rrfindunfi wird nachstehend anhand der in der Zcich- 
nung dargestellten Ausfiihrungsformen naher erlautert. Fig. 
1 zeigt ein ObersichLsblockschaltbild einer Steuereinrich- 
tung zum Betreiben eincs Stcllclcmcnts in cincra Fahrzcug 
in einem bevorzugten Ausfuhrungsbeispiel. In Fig. 2 ist ein 
FluBdiagramm dargestcllt, mit dessen Hilfe die Rcalisicrung 
der bcschriebcncn Vorgehensweise als Rechnerprogramm 
dieser Sleuereinrichtung skimen ist. 

Beschreibung von AusfUhrungsbeispielen 

Die erlindungsgemaBe Vorgehensweise wird nachfolgend 
anhand eines bevorzugten AusFUhrungsbcispicls, eincs 
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drive-by-wire-Sysicms, bei welchem ini Rahincn einer La- 
geregelung ein Leistungsstellelement einer Aniriebseinhcit, 
insbesondere eine Drosselklappe, betatigt wird, skizzierl. 
Die crfindungsgcmaBc Vorgchcnswcisc ist abcr, wic cin- 
gangs crwahnu nichi nur auf dieses Ausfuhrungsbcispicl be- 5 
schninkl. sondern lindel uberall don Anwendung, wo ein 
Stcllelemcnt auf dcr Basis einer BctricbsgrbBc bciricbcn 
wind, die durch Plausibiliialsiiberprufung mil einer redun- 
dant erfaBicn oder mil einer zu ihr in cineni eindeutigen Zu- 
sammenhang siehenden BetriebsgroBe uberwacht wird, bei- to 
spielsweise im Rah men von Regelkreise zur Einstellung ei- 
nes Leistungsstellelemenus, in brake-by-wire-Systemen, etc. 

Fig. 1 zeigt. eine elekironische Sieuereinheil 10, die we- 
nigstenseinen Rechner 12, cine Eingangsschaltung 14, cine 
Ausgangssehaltung 16 und ein diese Elemenie verhindendes t$ 
Kommunikalionssystem 18 umfafit. Dcr Eingangsschaliung 
14 sind Eingangslcitungcn /.ugefuhrt, iibcr die McBsignale 
von MeBeinrieluungen eingelesen werden, die Betriebsgro- 
Bcn reprascntiercn oder aus den BctricbsgroBcn ablciibar 
sind. Im bevorzugten Ausfiihrungsbeispiel sind Bingangs- 20 
leitungen 20 und 22 vorgesehen, die die Sieuereinheil 10 mil 
MeBeinrieluungen 24 und 26 verbinden. Diese erfassen die 
Stellung des Leistungsstelleiements, beispielsweise einer 
Drosselklappe. und stellen je nach Ausfiihrungsbeispiel Po- 
tentiometer oder beruhrungstose Sensoren dar. Deren MeB- '25 
groBcn U 1 und U2 werden iibcr die I .citungen 20 und 22 dcr 
Eingangsschaliung 14 zugefulirt. Ferner sind aus Obersicht- 
lichkciisgriindcn die weitcrcn, im Zusammenhang mil der 
Sieucrung einer Antriebseinhcit vorgeschenen Eingangslei- 
tungen und MeBeinrichtung als 28 bis 32 und 34 bis 38 zu- 30 
sammengefaBt. Von den MeBcinrichtiingcn werden lie- 
iriebsgroBen wie Fahrpedulsicllung, Moiordrehzahl, Motor- 
temperalur, Abgaszusammensetzung, etc. erfaBi und eni- 
sprechende McBsignale iiber die Eingangsleitungen der Ein- 
gangsschahung 14 zugcfilhrt. 35 

Uberdie Ausgangssehaltung 16 und die Ausgangsleituug 
40 werden Ansreuersignale zum Bctatigen des Leistungs- 
sicllclcmcnts 42, beispielsweise cine clcktrisch hetatigbarc 
Drosselklappe, ausgegeben. Ferner sind Ausgangsleitungen 
44 bis 48 dargcsicllt. iibcr die weiierc Slellclcmcntc 50 bis 40 
54. z. B. Stcllclcmcnlc zur KraftstolTcinspritzung, zurZund- 
winkeleinsiellung, zur Ladedruckeinstellung, etc. angesteu- 
ert werden. 

Tm bevorzugten Ausfiihrungsbeispiel wird das Ixistungs- 
stcllelemcnt 42 im Rahmen eines Lagcregclkreises eingc- 45 
siellt. Ein derartiger Lageregler ist im Rechner 12 imple- 
menrien. Er gibt ahhangig von einem zumindesi auf der Ba- 
sis der Fahrpedalstellung gebiidetcn Stellungssollwertes un- 
ler Berucksichtigung des Slellungsistwertes des Leistungs- 
stellclcments (eines der iibcr die Leitungen 20 und 22 ztige- 50 
fiihnen Stellungssignale) nach MaBgabe einer vorgegebe- 
ncn Reglerstrukiur ein Ausgangssignal ab. welches das 
Stcllelemcnt im Sinne eincr Anniihcrung des Fsiwenes an 
den Sollwert betatigt. Im bevorzugten Ausllihrungsbeispiel 
wird als Ansteuersignal ein pulsweitenmoduliertes Signal 55 
ausgegeben, welches vxi einem tninleren Strom durch den 
Stellmolor des Leisiungsstellclenienls 42 fiihri. Zur Fehler- 
erkennung werden Plausihilitatsuberprufungen der redun- 
dantcn Stellungssignale durchgefuhn. Dabci wird die Ab- 
weiehung zwischen den beiden Steliungssignaiwerien auf 60 
cincn vorgegebenen Toleranzbcrcich ubcrpruft, wobei cine 
Unplausibilitat fcstgcsiclli wird, wenn die Abweichung grfi- 
Bcr als die vorgegebene Tolcranz ist. Daruber hinaus stehen 
die dem Fachmann gclaufigen Vlittcl des signal- range- 
cheeks zur Verftlgung. 65 

Fall I z. B. die Signalleitung einer MeBeinrichtung fur das 
Istsignal ab, so ist cs inoglich, daB der Lageregler ein 
schcinbar auf groBe Wcnc eingcstcllics Lcistungssiellele- 
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mem erkennt, da die Abweichung zwischen Sollwert und 
1st wen groB ist. Das Slellelemeni wird also in Richlung klei- 
nerer Stellungswerte betatigi., so daB das Stellelement 
schlicBlich gegen cincn Anschlag gcdrUckt wird. Mechani- 
se he und elektrische Schadcn konncn die Folgc scin. Zwar 
wird die Unplausibililat erkanm, sic wird jedoch ersl nach 
mchrcrcn Mcssungcn und/oder nach Ablauf eincr bestimm- 
ten Zeit mit Unplausibilitatserkennung als Fehler angenom- 
men, urn Fehlausldsungen aufgrund kurzer Storungen zu 
vermeiden. Inneriialb dieser Zeil, die in einem bevorzugten 
Ausfiihrungsbeispiel 140 m/sek betragen kann, kann bereirs 
ein Anfahren des mechanischen Anschlags erfolgt sein. 

Um dieses unerwunschte Verhalien zu verbesseru, ist vor- 
gesehen, sofort nach Erkennen einer Unplausibilitat in Bc- 
zug auf die genannlen McBsignale eine erste Fehlerreaktion 
einzulciicn. Diese bestcht im bevorzugten Ausfiihrungsbei- 
spiel zurnindest darin, daB der Lageregler zwar noch arbei- 
ict. der Strom und/oder das Ansteuersignaltastverhaltnis 
abcr auf cinen Wert begrenzt wird, bei dem das Stellelement 
nur noch eine begrenzie Stellgeschwindigkeii bzw. Be- 
schleunigung erreicht. Damil wird einem Anfahren des An- 
schlags mil voller Wucht. entgegengewirkt. Wird nach Ab- 
lauf einer besiimmien Zeit, beispielsweise 140 m/sek weiter 
die Unplausibilitat erkannt, so wird von der ersten Fehlerre- 
akiion auf eine zweite Fehlerreaktion ubergegangen. Diese 
bestcht im bevorzugten Ausfuhrungsbcispicl in eincr Um- 
schaltunu des fstwertes von der fehierhaAen MeBeinrich- 
tung zur andcrcn (wenn Fchlcrqucllc cindcutig crkennbar) 
oder (in andcrcn Fallen) in eincr Untcrbrechung der Bcstro- 
inung des Stelleiemenls. 

Allgemcin wird durch die dargestellte Vorgchensweisc 
nichi nur in Verbindung ntit dem dargesiellten Ausfiihrungs- 
beispiel und in Verbindung mit der Istwerterfassung durch- 
gefuhrt, sondern in alien den Steuersystemen, in denen die 
Sieucrung eincs Stellelements abhiingig von eincr Betriebs- 
groBe stattlindet. die mittels einer redundanten Erfassung 
und/oder mittels einer anderen, in eindeutigem Zusammen- 
hang zu ihr stehenden BetriebsgroBe iibcrwacht wird. Die 
Ausgestaltung der Reaktionen auf eine Unplausibilitat findet 
auch dann Anwendung, wenn die Unplausibilitat mit Hilfc 
eincs signal range-check an einem Einzclsignal crkannl 
wurde. 

Die Realisierung der dargestellien Vorgehensweisc im be- 
vorzugien Ausfuhrungsbeispiel erfolgt mittels eines Rech- 
nerprogramms. liin Beispiel fur ein derartiges Rcchnerpro- 
gramm ist als FluBdiagramm in Fig. 2 skizziert. 

Das Programm wird zu vorgegebenen Zeitpunkten gestar- 
ict . Im ersten Schritt 100 wird die MeBgroBe oder die MeB- 
groikn eingelesen. Daraufhin wird im Schritt 101 eine Plau- 
sibilitatsiiberpriifung dcr MeBgroBe oder dcr MeBgrtiBen 
durchgefuhn. Die FlausibiliiaisuberprUfung wirddabei ent- 
weder mil Hilfe eines Vergleichs der Abweichung zweicr 
zucinander red- undantcr GroBcn mit einem vorgegebenen 
Toleranzband oder durch Vergleich der zcidichen Anderun- 
gen zweier Signale oder mit Hilfe eines signal- range-check 
einer cinzelncn MeBgroBe durchgefuhn. Tm darauflfolgcn- 
den Schritt 104 wird uberpriift, ob die Plausibilitatsuberprii- 
fung eine Unplausibilitat erbracht hau d. h. ob die Abwei- 
chung zwischen den zw r ei GroBcn den Toleranzbcrcich Obcr- 
schreitet oder die zcidichen Anderungen der Signale nichi 
mitcinandcr korrelicrcn oder ob die MeBgroBe aus ihrcm 
Wertcbcrcich ausgetretcn ist, 1st dies der Fall, wird gcmaB 
Schritt 106 eine ersle Reakiion durchgefiihrt. die im bevor- 
zugten Ausfiihrungsbeispiel in einer Begrenzung dcr Stell- 
geschwindigkeit und/oder der Beschleunigung des Stellele- 
ments besieht. Daraufhin wird im Schritt 108 ein Ziihler, der 
bei inbetriebnahme riickgesetzt wird, inkrementiert Dessen 
Zahlcrstand wird dann im Schritt 110 mil einem Maximal- 
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wen verglichen unci auf diesen begrenzi, 1st der Maximal- 
wen nichi crrcichi, wird das Programm bcendei und zum 
nachsten Zeitpunki erneut duichlaufen. Das Stellelement 
wird im Rahmcn dcr crsicn Rcaktion bciricbcn. 

Isi dcr Maximal wcrt dcs Zahlcrs crrcichi. d. h. licgi die 5 
Unplausibililat im Schritt 104 fur cine besummte Zcil vor, 
so wird gcnia'B Schritl 112 cine zweite Rcaktion eingclcitel, 
die je nach AusfUhrung in ciner Unischahung des Isiweries 
des Lagercglcrs und/oder in ciner Unicrbrechung dcr Bc- 
siromung des Stellelemenis bcslchi. Nach Schrili 1.12 wird 10 
das Programm bcendei und zum niichsien Zeiipunkl emetii 
durch laufen. 

Wirci im Schriii 104 keine Unplausibililat erkartnt bzw. isi 
die Unplausibililat wegge fallen, so wird gcrna'R Schritt 1.14 
der Zahler dekremcnlien. Daraufhin wird tin Schritt 116 15 
ubcrpruft, ob dcr Zahler seincn Minimalwen. errcicht hat. 
Auf dicscn wirdcrdann ggf. begrenzi, 1st dies nicht der Fall, 
wird das Prog rami n bcendei und das S telle lenient im Rail- 
men dcr crsicn odcr dcr zweiten Rcaktion (der aktuell akti- 
ven) beirieben. 1st der Zahlersland auf seinem Minimal wert, 20 
so wird gtfitiafi Schritt 118 das StcLlclcmcni im Rahmcn des 
Normalbelriebs angesteuert. Nach Schritt 118 wird das Pro- 
gramm beendei und zum niichsien 'Xcitpunkt durchlaul'en. 

In cinem Ausfuhrungsbeispiel besleht die crstc Fehlerre- 
aktion darin, daB das Anstcucrsignal (pulsweitenmodulier- -5 
tcs Signal odcr Strom durch den elckiromotorischen An- 
irieb) dcs Stellelements unabhangig von der ersten odcr 
zweiten BetriebsgroBe auf cincn vorgegebenen Wcrt einge- 
stcllt wird odcr begrenzi wird, der serine! le Bewegungen dcs 
Stellelemenis verhindert und im Ideal fall zu einer Behai - 30 
rung des Stellelements in seiner aktuellen Position fuhrt. 

Bcstehi die Rcaktion in einer Unischahung aufein Krs:iix- 
signat, so ist die Unischahung je nach Ausfuhrung reversi- 
bel oder irreversibel. 

Bci Einleiten dcs '/wciien Fehlerrcaklionsbetrieb wird dcr 35 
erste wieder zuruckgenommen. 

ParentansprUchc 

1. Verfahren zum Betreiben cincs Stellelemenis in ei- 40 
ncm Fahrzeug, wobci das S telle lenient (42) in Abhiin- 
gigkeit wenigstens ciner ersten BeiriebsgroBe betatigt 
wird. diese wenigstens cine BetriebsgroBe zumindest 
redundant erfaBt wird Oder wenigstens eine zweite. mil 
der ersten BetriebsgrdBc in cindcuiigem Zusammcn- 45 
hang sichende BctricbsgroBc erfaBl wird, wobei die er- 
faBtcn RciriebsgroBcnsignalc im Rahmcn ciner Plausi- 
bilttatsprufung initeinander verglichen wcrden, wobei 
bei Unplausibililat das Stellelcmenl im Rahmcn einer 
Fehlcrrcaktionsbetrieb betrieben wird, dadureh ge- 50 
kennzeichnet, daB so ton nach crkannter Unplausibili- 
lat ein erstcr Fehlerreakiionshetrieb cinceleitct wird 
und bci anhaltendcm Aufiretcn der Unplausibililat cin 
zweitcr Fehlerrcaklionsbetrieb erlblgt. 

2. Verfahren zum Betreiben eines Stellelements in ei- S5 
ncm Fahrzeug, welches in Abhiingigkeit wenigstens ei- 
ner ersten BctricbsgroBc bctatigt wird, wobci ein Fch- 
lerzustand durch cine Plausibiliiatsprufung des wenig- 
stens cincn BctricbsgroBcnsignals crkannt wird und bci 
Unplausibililat das Stcllelemenl im Rahmcn einer Feb- 6o 
lcrrcaktionsbctricb betrieben wird. dadureh gekenn- 
zcichnct. daB solbn nach Aufiretcn einer Unplausibili- 
lat ein erster Fehlerrcaklionsbetrieb eingcleilel wird. 
bei welchem die Stellgeschwindigkeit und/oder die Be- 
schleunigung des Stellelements begrenzi isi. und dann, 65 
bei an ha! tender Unplausibililat ein zweitcr Fehlerreak- 
lionsbctricb eingeleitel wird, bei dem die Betaiigung 
dcs Sicllclemenis slillgelcgl wird odcr ein Frsaizbe- 



960 A 1 

6 

triebsgroBensignal zur Betaiigung herangezogen wind 

3. Vertahren nach Anspruch 1 odcr 2, dadureh gekenn- 
zeichnct, daB die erste BetriebsgroBe die Stellung des 
Stellelements (42) ist und die zweite BctricbsgroBc 
cine direkt mil dcr Stellung zusammenhangende Be- 
triebsgrdBc ist. 

4. Verfahren nach cincm dcr vorhcrgchcndcn Anspru- 
che, dadureh gekennzeiehnei, daB der erste Fehlerreak- 
tionsbctrieb darin bestcht, daB das Ansteuersignal des 
Stcllelemenl s unabhangig von dcr ersten oder zweiten 
BerriebsgroBe auf einen Wen eingestellt wird oder be- 
grenzi wird, dcr schnelle Bewcgungen des Stellele- 
ments verhindert und im Idealfail zu einer Beharrung 
des Stellelements in seiner aktuellen Position fiihrt. 

5. Verfahren nach Anspruch 2, dadureh gekennzeich- 
nci, daB die Unischahung auf das BctriebsgroBener- 
satzsignal revcrsibel odcr irrevcrsibel ist. 

6. Verfahren nach einem der vorhergchenden Ansprii- 
chc, dadureh gekennzeichnct, daB bci Einleiten des 
zweiten Fehlerreakiionsheirieb der erste wieder zu- 
ruckgenommen wird. 

7. Verfahren nach einem der vorhergehenden Anspru- 
chc, dadureh gekennzeichnct, daB eine Unplausibililat 
bci unzulassiger Abwcichung dcr Signale oder wenn 
die zeitliche Anderung des ersten und des zweiten Si- 
gnals nicht miteinandcr korrelicren, crkannt wird. 

8. Verfahren nach einem der vorhergchenden Anspru- 
chc, dadureh gekennzeichnct, daB das Stcllclcmcnt im 
Rahmcn cincs Rcgelkrciscs, insbesonderc cincs Lagc- 
regelkreises. betatigt wird und die BetriebsgroBe der 
Soli wert und/oder der Ist wen des Regelkreises ist, vor- 
zugsweise die Stellung eines Leistungsstellelements 
und/oder eines Bcdienelements. 

9. Vorrichtung zum Betreiben eines Stellelements in 
einem Fahrzeug, mil ciner clekironischcn Stcucrcinhcit 
(1.0). wclcher wenigstens ein erstes und ein zweites Be- 
triebsgroBe n signal zugefuhn wird, wobei die Betriebs- 
groBensignale cincn eindeuiigen Zusammcnhang zu- 
einandcr uufweisen, die Steuereinheit einen Rechner 
aufweist, dcr cin Programm cnthiilt, in dem in Abhan- 
gigkeit wenigstens ciner dcr BctrichsgroBensignalc cin 
Anstcucrsignal fiir das Stcllelemenl gebildet wird, in 
dem ferncr die bei den BetriebsgroBensignale miteinan- 
der zur Fehlererkennung verglichen werden, wobei bei 
Unplausibililat Fehlerreaktionsmittcl das Stcllelemenl 
im Rahmcn ciner Fehlerreakiionsbetrieb betreiben, da- 
dureh gckcnnzcichnci, daB die Fehlcrreaktionsmiitel 
bci crkannicr Unplausibililat sofort cincn ersten Fehler- 
reakiionsbetrieb und bei anhaltendcm Auftreten der 
Unplausibililat einen zweiten Fehlerrcaklionsbetrieb 
cin lei ten. 

10. Vorrichlung zum Betreiben eines Stellelements in 
einem Fahrzeug, mil ciner clcktronischen Steuereinheit 
(10), weicher wenigstens cin erstes BelriebsgrdBensi- 
gnal zugefuhn wird, wobei die Steuereinheit einen 
Rechner umfaBl, in dem ein Programm sich hefindet, 
welches cin Anstcucrsignal in Abhangigkcit des ersten 
BetriebsgrfcBensignaJs bildei, wobei die Steuereinheit 
Fehlerreaktionsmittcl umfaBl, A^clchc bci aufirctcndcr 
Unplausibililat dcs crsicn BclricbsgroBcnsignals einen 
Fchlerreaktionsbcirieb fiir das Stcllclcmcnt einleiten, 
dadureh gekennzeichnct, daB sofon bci Erkcnncn dcr 
Unplausibilitai ein ersler Fehlerrcaklionsbetrieb einge- 
leitet wird, der darin besteht, daB die Stellgcschwindig- 
keii und/oder Beschleunigung des Stellelements be- 
grenzi wird. und bei anhaltendcm Aufiretcn der Un- 
plausibililat. cin zweitcr Fehlerrcaklionsbetrieb einge- 
leitel wird, wclcher in einer Bciatigung des Stcllclc- 
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menus auf ckr Basis eines Ersaizsignals ocler in cincm 
Absicllen dor Beiiiiigung ties SicLlcleincms busiehun. 
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Abstract of DE1 9943960 (A1) 

The method involves actuating the control element depending on at least one operating 
parameter that is either redundantly detected or detected with another related parameter, 
detected signals are compared within the framework of a plausibility check and the 
control, element is operated in fault reaction mode if an implausibility is detected. 
Immediately after an implausibility is detected a first fault reaction mode is initiated and if 
the implausibility continues a second fault reaction mode is activated. An Independent 
claim is also included for an arrangement for operating a control element in a vehicle. 
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Claims DE19943960 

First 

A method of operating a control element in a vehicle, wherein the actuator (42) as a function actuates at least a first operating size, said at least one operating parameter is recorded £ 
clear related operating variable, wherein the detected operating variable signals in the context of a plausibility check are compared, is operated with at implausibility the control elemei 
immediately after detecting an implausibility. a first error response operation and with continued appearance of implausibility is a second error response property. 

Second 

A method of operating a control element in a vehicle, which in dependence on at least a first operating variable actuated, wherein a fault condition is detected by a plausibility check of 
element in the context of an error response operation, characterized in that immediately after the appearance of implausibility, a first error response operation is initiated, wherein the \ 
introduced, with continuing implausibility a second error response operation, wherein the actuation of the actuating element is abandoned or an equivalent size of operation signal is u 

Third 

A method according to claim 1 or 2. characterized in that the first operating variable, the position of the adjusting element (42) and the second operating variable one is connected dire 
4th 

A method according to any one of the preceding claims, characterized in that the first fault reaction operation is that the drive signal of the adjusting element is adjusted independently 
movements of the actuating element and. ideally, a persistence the control element in his current position leads. 

5th 

A method according to claim 2. characterized in that the switching is to the size of operation substitute signal reversibly or irreversibly. 
6th 

A method according to any one of the preceding claims, characterized in that when introducing the second error operation, the first reaction Is again withdrawn. 
7th 

Method according to one of the preceding claims, characterized in that an implausibility case of inadmissible deviation of the signals or when the temporal change of the first and seco 
8th 

A method according to any one of the preceding claims, characterized in that the actuating element in the context of a control loop, in particular a position control loop, is actuated and 
is preferably the position of a power control element and / or an operating element. 

9th 

Device for operating a control element in a vehicle, with an electronic control unit (10), which at least a first and a second operating variable signal supplied to said operating variable i 
contains a program in which formed in dependence on at least one of the operating variable signals a control signal for the actuating element, in which furthermore the two operating v 
response means the control element in the context of an error response operation, characterized in that the error response means with detected implausibility immediately a first error 
error response operation. 

10th 

Device for operating a control element in a vehicle, with an electronic control unit (10) which is at least a first operating variable signal supplied to said control unit comprises a comput 
operating variable signal, wherein the control unit error response comprises means which, when occurring implausibility of the first operating variable signal to initiate a fault response 
implausibility, a first error response operation is initiated, which is that the positioning speed and / or acceleration of the adjusting element is limited, and with continued appearance of 
actuation of the actuating element on the basis of a substitute signal or in a stopping the actuation of the actuating element. 
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Description DE1 9943960 



Prior art 

The invention relates to a method and apparatus for operating a control element in a vehicle. 

Vehicles are increasingly used in electronic control systems, which operate on the basis of company size or detected by measurement metrics derived from company size at least one 
Such control systems are used for controlling the drive unit, the brake system or other features. 

For example, in the context of so-catled "drive-by-wire" - or "brake-by-wire" systems an actuating element of the vehicle on the basis of metrologically sensed driver's request by an elc 
Together, these control systems is that the acquisition of a basic function that influence farm size is at least secured redundant. 

Thus, in these systems is generally the position of the driver-operable control element (accelerator pedal, brake pedal) detected by at least two independent measuring devices. 

The same applies to systems in which the control element within a control loop (for 

As a position control) in accordance with a set is derived from the driver's set point, for the actual value. 

The at least redundant recording of the operating variables used for error detection, for example, by at least two sizes acquired measured or derived quantities are checked against es 
Such an approach is an example of a drive-by-wire system shown in DE 40 04 086 A1 (U.S. Patent 5,107.769). 

In such inspections, an actual fault condition with a subsequent emergency with regard to noise is detected only when the check has a certain length of time the result is "implausible" 
The emergency operation will be started relatively late. 

In this way damage in the control element, which is in spite of a fault condition operates as in normal operation, occur. 

This is particularly important for the control of a throttle valve means of a servomotor, the case which may occur for example in waste of the signal line of a throttle valve sensing the p 
mechanical damage as a result. 

The object of the invention to provide measures which shorten the response time to a implausibility, without the availability of the control system for the case that no error condition is \ 
This is achieved by the features of the independent claims. 

From DE 39 22 948 A1 (U.S. Patent 5.1 19,300) is known, in sensors which output both in an operating state of a vehicle as well as in case of failure a fundamental signal (eg. zero), u 
error check carried out. 

The proposed emergency operation in case of error is only initiated if the fault condition is detected. 
Advantages of the invention 
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